¿Tu web está hackeada AHORA? No entres en pánico y sigue el orden de esta guía. Si prefieres que lo resolvamos nosotros, hacemos diagnóstico gratuito y te respondemos en menos de 2 horas.
Resumen rápido: Si tu web ha sido hackeada, actúa en este orden en las primeras 2 horas: (1) pon la web en modo mantenimiento, (2) haz una copia del estado infectado como prueba, (3) cambia TODAS las contraseñas (WordPress, hosting, FTP y base de datos), (4) analiza con Wordfence/Sucuri para localizar el malware, (5) reemplaza el núcleo, plugins y tema por copias limpias oficiales y (6) caza las puertas traseras. Un rescate profesional en España cuesta desde 149 € y suele resolverse en 4-48 horas según la gravedad. Importante: restaurar un backup NO siempre elimina el hackeo, porque la copia puede estar ya infectada.
Primeros auxilios: qué hacer en las próximas 2 horas
Estos son los pasos críticos, en orden. Hazlos antes de tocar cualquier otra cosa:
- Activa el modo mantenimiento para aislar la web mientras trabajas y evitar que los visitantes (y Google) vean el contenido infectado.
- NO borres nada todavía. Haz una copia completa del estado hackeado (archivos + base de datos + logs) y guárdala fuera del servidor. Es tu evidencia de qué inyectaron y por dónde entraron.
- Cambia TODAS las credenciales: usuario de WordPress, panel del hosting (cPanel/Plesk), FTP/SFTP, base de datos y las claves SALT del
wp-config.php. Si no cambias todas, el atacante vuelve a entrar. - Revisa los usuarios administradores. Si hay algún admin que tú no creaste, es del atacante. No lo borres aún (es evidencia), pero anótalo.
- Pon el hosting sobre aviso. Si tu servidor está enviando spam, el hosting puede suspenderte la cuenta. Avísales de que estás limpiando.
- Si no puedes con ello, para aquí y pide ayuda. Cada hora cuenta: cuanto más tiempo esté el malware activo, más daño a tu SEO y a tu reputación.
¿Cómo saber si tu web está realmente hackeada? (síntomas)
Estas son las señales inequívocas de que te han hackeado:
- Redirecciones automáticas a spam: tu web lleva a páginas de farmacias (viagra/cialis), casinos, cripto o contenido adulto. Es la señal nº 1.
- Palabras clave que tú no pusiste: tu web empieza a aparecer en Google por términos en japonés, viagra o cripto. Es el «Japanese keyword hack».
- Pharma hack (cloaking): el contenido malicioso solo se le muestra al robot de Google, no a ti. Tú ves tu web normal, pero Google ve spam. Muy difícil de detectar sin herramientas.
- No puedes entrar en
wp-admino aparecen usuarios administradores nuevos que no creaste. - Aviso «Este sitio puede dañar tu equipo» en Google, o la pantalla roja del navegador al entrar.
- Tu web manda spam y el hosting te suspende, o aparecen páginas/idiomas nuevos que no creaste.
¿Dudas? Pasa tu web por Sucuri SiteCheck (análisis externo gratuito) o instala Wordfence para un escaneo interno. Si sale limpio pero algo raro pasa, puede ser un pharma hack: ahí ya necesitas ojos expertos.
Semáforo de gravedad: ¿es leve, medio o crítico?
Leve
Síntomas
spam en comentarios, un plugin vulnerable detectado a tiempo, sin redirecciones
Qué hacer
actualizar, limpiar y reforzar. Manejable tú mismo con cuidado.
Medio
Síntomas
redirecciones, archivos modificados, algún admin falso, Google aún no avisa
Qué hacer
limpieza técnica completa. Mejor con ayuda profesional.
Crítico
Síntomas
aviso de Google, hosting suspendido, pharma hack, backdoors, base de datos comprometida
Qué hacer
rescate profesional urgente. No lo dejes pasar: cada hora daña tu SEO.
Si estás en nivel crítico: el tiempo juega en tu contra. Cuanto más tiempo lleve tu web marcada por Google o enviando spam, más difícil y cara será la recuperación del posicionamiento.
Pide diagnóstico gratuito ahora
Cómo limpiar un WordPress hackeado paso a paso
Una vez hechos los primeros auxilios, la limpieza técnica sigue este proceso:
- Detección con varias herramientas. Un solo escáner no basta. Combina Sucuri SiteCheck (externo), Wordfence o Imunify360 (interno) y Google Safe Browsing. Por SSH, busca código sospechoso con patrones como
base64_decode,evalogzinflate. - Reemplaza, no edites. Borra el núcleo de WordPress, los plugins y el tema, y sustitúyelos por copias oficiales limpias. Es la única forma segura de eliminar backdoors escondidos en archivos del sistema.
- Limpia la base de datos. Revisa la tabla
wp_options(scripts inyectados),wp_users(admins falsos) y busca SQL malicioso. - Caza las puertas traseras (backdoors). Se esconden en la carpeta de subidas, en los «mu-plugins», en el tema o como archivos con nombres inocentes. Este es el paso que más se falla: aunque cambies contraseñas, si queda una backdoor, el atacante vuelve.
- Reanaliza hasta salir limpio. Solo cuando la web esté 100 % limpia se pasa al siguiente paso con Google.
Por qué restaurar un backup NO suele bastar
Es el error más común. «Restauro una copia de seguridad y listo». Dos problemas:
- El backup puede estar ya infectado. Los hackeos suelen llevar semanas o meses latentes antes de manifestarse. Si restauras una copia de hace un mes, es probable que ya tuviera el backdoor dentro.
- No cierra la puerta de entrada. Si te hackearon por un plugin vulnerable, restaurar el backup te devuelve el mismo plugin vulnerable. Te vuelven a entrar en días.
El backup es útil para recuperar contenido (textos, productos), pero la limpieza y el refuerzo de seguridad hay que hacerlos igual. Restaurar sin limpiar es tapar el sol con un dedo.
Qué hacer con Google: quitar el aviso y solicitar revisión
Si Google ha marcado tu web como peligrosa, hay que limpiar esa marca después de haber limpiado la web:
- Revisa Search Console → «Problemas de seguridad». Ahí ves exactamente qué detectó Google (malware, phishing, software no deseado).
- Solicita una revisión SOLO con la web 100 % limpia. En ese informe pulsa «Solicitar una revisión» y explica: cómo detectaste el problema, todo lo que has limpiado y las medidas de seguridad que has implementado. Cuanto más detalle, más rápido la aprueban.
- Desindexa las URLs del atacante. Las páginas de spam que creó el hacker se eliminan (404/410) y se piden retirar con la herramienta de retirada de URLs de Search Console.
Recuperar tu SEO y tus rankings después del hackeo
Un hackeo puede hundir tu posicionamiento: Google desconfía de una web que ha estado repartiendo malware. La recuperación:
- Confirma que no queda rastro de contenido inyectado ni URLs de spam indexadas.
- Recupera las páginas legítimas que el hacker pudo alterar o eliminar.
- Vigila Search Console las semanas siguientes: impresiones, posiciones y errores.
- Ten paciencia: recuperar la confianza de Google lleva semanas. Si el hackeo se limpió rápido, la caída suele revertirse; si estuvo activo mucho tiempo, cuesta más.
Este es justo el tipo de recuperación técnica + SEO que hacemos: no solo limpiamos, sino que devolvemos tu web a Google como sitio de confianza.
Cuánto cuesta limpiar una web hackeada en España (2026)
Estos son los precios reales del mercado español, con tendencia realista:
| Servicio | Precio | Plazo típico |
|---|---|---|
| Diagnóstico inicial | Gratis (en nuestro caso) | Menos de 2 h |
| Rescate puntual (caso estándar) | 149 – 300 € | 4 – 8 h |
| Rescate complejo (múltiples backdoors, base de datos comprometida) | 300 – 500 € | 24 – 48 h |
| Mantenimiento con protección incluida | desde 39 €/mes | Continuo, sin permanencia |
El rescate puntual te deja la web limpia y online. Pero si no refuerzas la seguridad, te pueden volver a entrar. Por eso muchos clientes pasan a un plan de mantenimiento con seguridad incluida: sale más barato prevenir que rescatar.
Te lo dejamos limpio desde 149 €, con diagnóstico gratuito y respuesta en menos de 2 horas. Limpiamos, reforzamos la seguridad y recuperamos tu posicionamiento en Google.
Cómo evitar que te vuelvan a hackear
Actualiza siempre
el núcleo, los plugins y el tema. La mayoría de los hackeos entran por plugins desactualizados.
Instala un firewall (WAF)
Cloudflare o Wordfence bloquean la mayoría de los ataques automáticos.
Activa la doble verificación (2FA)
y limita los intentos de login.
Haz copias automáticas externas
y verifica que se pueden restaurar de verdad.
Elimina plugins y temas «nulled»
(pirateados) y los que no uses: son una puerta de entrada habitual.
Contrata mantenimiento
si tu web genera negocio. La vigilancia proactiva evita el 90 % de los sustos.
Profundizamos en la prevención en nuestras guías de mejores prácticas de seguridad WordPress y combatir virus en WordPress.
Estadísticas de seguridad WordPress 2026
Para que veas que no es mala suerte, es un problema masivo:
- En 2025 se detectaron más de 11.300 nuevas vulnerabilidades en el ecosistema WordPress (+42 % respecto a 2024), y el 96 % estaban en plugins, no en el núcleo (Patchstack).
- El XSS es el tipo de vulnerabilidad más común (41,5 %), seguido de CSRF y control de acceso roto (Patchstack).
- Cerca del 46 % de las vulnerabilidades no recibieron parche del desarrollador antes de hacerse públicas (Patchstack).
- WordPress concentra el 95,5 % de todas las infecciones detectadas por Sucuri, en gran parte por plugins sin actualizar.
La conclusión: la mayoría de los hackeos se evitan con mantenimiento y actualizaciones al día. Y cuando ocurren, la rapidez lo es todo.
Preguntas frecuentes
¿Cómo sé si mi WordPress está hackeado?
Las señales más claras son: redirecciones automáticas a spam (farmacias, casinos), aparecer en Google por palabras que no pusiste (japonés, viagra), no poder entrar en wp-admin, usuarios administradores nuevos que no creaste y el aviso «Este sitio puede dañar tu equipo». Pasa tu web por Sucuri SiteCheck para confirmarlo.
¿Qué hago en las primeras 2 horas si me han hackeado?
Pon la web en modo mantenimiento, haz una copia del estado infectado como prueba, cambia todas las contraseñas (WordPress, hosting, FTP y base de datos), revisa si hay administradores falsos y avisa a tu hosting. No borres nada todavía y, si no puedes con ello, pide ayuda profesional cuanto antes.
¿Cuánto cuesta limpiar una web hackeada en España?
Un rescate puntual estándar cuesta entre 149 y 300 €, y uno complejo con múltiples puertas traseras entre 300 y 500 €. El diagnóstico inicial suele ser gratuito. Como alternativa, un plan de mantenimiento con seguridad incluida desde 39 €/mes previene futuros hackeos.
¿Cuánto se tarda en recuperar un WordPress hackeado?
Un caso estándar se resuelve en 4-8 horas. Uno complejo, con la base de datos comprometida o varios backdoors, puede llevar hasta 24-48 horas. Quitar el aviso de Google, una vez limpia la web, suele tardar de 1 a 3 días tras solicitar la revisión.
¿Puedo limpiarlo yo mismo o necesito un profesional?
Un caso leve (spam en comentarios, un plugin vulnerable a tiempo) lo puedes manejar con cuidado. Pero si hay redirecciones, aviso de Google, pharma hack o backdoors, conviene un profesional: si dejas una sola puerta trasera, te vuelven a entrar y el problema se agrava.
¿Restaurar un backup elimina el hackeo?
No siempre. La copia de seguridad puede estar ya infectada (los hackeos suelen estar latentes semanas) y, aunque no lo esté, no cierra la vulnerabilidad por la que entraron. El backup sirve para recuperar contenido, pero la limpieza y el refuerzo de seguridad hay que hacerlos igual.
¿Qué es una puerta trasera (backdoor) y por qué vuelven a entrar?
Es un archivo o código oculto que el atacante deja para poder volver a entrar aunque cambies las contraseñas. Se esconde en carpetas de subidas, plugins o el tema con nombres inocentes. Si la limpieza no las caza todas, el hackeo reaparece a los pocos días.
¿Cómo quito el aviso «Este sitio puede dañar tu equipo» de Google?
Primero limpia la web al 100 %. Después, en Google Search Console, ve a «Problemas de seguridad» y pulsa «Solicitar una revisión», explicando qué has limpiado y qué medidas de seguridad has puesto. Google suele retirar el aviso en 1-3 días si la web está limpia.
¿Perderé mi posicionamiento SEO tras el hackeo?
Puedes perder posiciones temporalmente, sobre todo si el hackeo estuvo activo mucho tiempo o Google te marcó como peligroso. Con una limpieza rápida y una buena recuperación (desindexar spam, solicitar revisión, restaurar contenido), la mayoría de las webs recuperan su posicionamiento en semanas.
¿Cómo evito que me vuelvan a hackear?
Mantén todo actualizado, instala un firewall (Cloudflare/Wordfence), activa la doble verificación, haz copias externas verificadas, elimina plugins pirateados y sin uso, y contrata mantenimiento si tu web genera negocio. La prevención evita cerca del 90 % de los hackeos.
¿No tienes tiempo o te da miedo tocarlo? Lo rescatamos por ti
Si tu web está hackeada y no quieres arriesgarte a empeorarlo, lo dejamos limpio por ti. En Alicante Developers somos desarrolladores y especialistas en seguridad WordPress:
Diagnóstico gratuito y respuesta en menos de 2 horas.
Limpieza completa, eliminación de backdoors y refuerzo de seguridad.
Gestión con Google para quitar el aviso y recuperar tu posicionamiento.
Rescate desde 149 € y planes de protección desde 39 €/mes, sin permanencia.
Lecturas relacionadas:
